Windows, Apple und fast alle Access Points betroffen

Der Entdecker der Sicherheitslücken schreibt darüber hinaus, dass sowohl die Implementierungen von Windows als auch von Apples Betriebssystemen angreifbar sind. Noch gibt es von Microsoft und Apple  keine weitergehenden Informationen hierzu, unterstützte Windows-Versionen sollen jedoch am vergangenen Patchday bereits ein Update bekommen haben. Auch Apple hat entsprechende Patches verteilt, bislang allerdings nur für die Beta-Versionen der Betriebssysteme.

Stellenmarkt
  1. Lean Consultant (m/w/d) Processes
    Hirschvogel Holding GmbH, Denklingen
  2. SAP Experte (m/w/d)
    Lödige Industries GmbH, Warburg
Detailsuche

Ebenfalls betroffen war auch das auf Sicherheit fokussierte OpenBSD. Der OpenBSD-Gründer Theo de Raadt hat sich aber aus prinzipiellen Erwägungen heraus dazu entschlossen, das Embargo nicht einzuhalten und die Patches stattdessen direkt einzupflegen. Dies ist als sogenanntes Silent-Update geschehen, also ohne explizite Ankündigung.

Access Points bekommen eventuell Updates

Zusätzlich zu dem für Linux-Clients genutzten wpa_supplicant ist auch die unter Linux für Access Points genutzte hostapd unter bestimmten Umständen angreifbar. Betroffen davon seien "praktisch alle Versionen, die eine vollständige FT-Implementierung enthalten". Als Workaround könnten Admins hier zwar die FT-Unterstützung zu Laufzeit abschalten, Clients können dann jedoch nicht mehr schnell zwischen mehreren Access-Points wechseln. Darüber hinaus sind außerdem sämtliche Versionen von hostapd für einen weiteren Angriff durch Clients über den sogenannten Authenticator verwundbar.

Die Patches für hostapd werden ebenfalls über die Linux-Distributoren verteilt. Darüber hinaus stellen bereits erste Hersteller von Access Points Updates für ihre Systeme bereit. Dazu gehört etwa Aruba Networks, Aktualisierungen von Ubiquiti sollten ebenso in Kürze zur Verfügung stehen.

Golem Akademie
  1. Jira für Anwender: virtueller Ein-Tages-Workshop
    4. Februar 2022, virtuell
  2. Cinema 4D Grundlagen: virtueller Drei-Tage-Workshop
    14.–16. März 2022, Virtuell
Weitere IT-Trainings

Der Fritzbox-Hersteller AVM hat ebenfalls Updates versprochen - "Falls notwendig" - was der Fall sein dürfte. Auch die Community-Hacker von Openwrt haben die Patches bereits in ihre Distribution aufgenommen, sodass hier Updates auch schnell verfügbar sein sollten.

Verwundbar sind darüber hinaus laut den Sicherheitsforschern außerdem die WLAN-Implementierungen von Mediatek und Linksys. Diese Liste lässt sich wahrscheinlich auch auf Broadcom, TP-Link und viele weitere Hersteller erweitern. Ob und wann hier Aktualisierungen bereitstehen, hängt wohl sehr von dem gewählten Hersteller sowie der Preisklasse der eingesetzten Geräte ab. Das US-Cert hat eine vollständige Liste der Hersteller veröffentlicht, die über die Lücken informiert worden sind.

Die Angriffe zeigen, dass WPA2 beschädigt ist, aber nicht grundlegend gebrochen. Eine sichere Implementierung des derzeitigen Standards ist also möglich. Auch können gegen die Sicherheitslücke gepatchte Geräte weiterhin mit ungepatchten Geräten kommunizieren. WPA3, so Vanhoef, brauche es also derzeit nicht.

Für die Sicherheitslücken sind folgende CVE-Nummer vergeben worden: CVE-2017-13077, CVE-2017-13078, CVE-2017-13079, CVE-2017-13080, CVE-2017-13081, CVE-2017-13082, CVE-2017-13084, CVE-2017-13086, CVE-2017-13087, CVE-2017-13088.

Nachtrag vom 17. Oktober 2017, 10:16 Uhr

Die folgenden Unternehmen haben sich zu Krack geäußert, die Liste wird laufend aktualisiert:

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed
 Bei Android 6 ist es besonders schlimm
  1.  
  2. 1
  3. 2
  4. 3


Truster 23. Okt 2017

Keine Ahnung, ich mach's einfach. Ich bin aber auch kein Großer Spieler. Mein letztes...

Anonymer Nutzer 19. Okt 2017

Na ja, komplett fehlt der Service nicht - aber besonders lange gibt es die Firmware...

Isodome 18. Okt 2017

Zur eigenen Fritzbox ist ein VPN natürlich sicher. Aber was dann? A) du willst auf dein...

bombinho 18. Okt 2017

Ja, aber ... - wann hast Du zuletzt geschaut? - welches ist das Richtige? - der Client...

bombinho 18. Okt 2017

Die meisten Hersteller haben ihre Patches fuer Mitte November angekuendigt.



Aktuell auf der Startseite von Golem.de
Bundesservice Telekommunikation
Ist eine scheinexistente Behörde für Wikipedia relevant?

Die IT-Sicherheitsexpertin Lilith Wittmann hat eine dubiose Bundesbehörde ohne Budget entdeckt. Reicht das für einen Wikipedia-Artikel?

Bundesservice Telekommunikation: Ist eine scheinexistente Behörde für Wikipedia relevant?
Artikel
  1. Elektroauto: VW e-Up ab Mitte Februar wieder bestellbar
    Elektroauto
    VW e-Up ab Mitte Februar wieder bestellbar

    Der e-Up gehörte 2021 zu den meistgekauften Elektroautos. Nun will VW den Kleinwagen wieder verfügbar machen.

  2. Bitcoin, Ethereum: Was steuerlich bei Kryptowährungen gilt
    Bitcoin, Ethereum
    Was steuerlich bei Kryptowährungen gilt

    Kryptowährungen wie Bitcoin sind unter Anlegern beliebt - doch wie muss man die Gewinne eigentlich versteuern?

  3. Neues Geschäftsmodell: Luca-App plant flexible Abos und will Preise senken
    Neues Geschäftsmodell
    Luca-App plant flexible Abos und will Preise senken

    Angesichts drohender Kündigungen will die Luca-App den Bundesländern entgegenkommen.

Du willst dich mit Golem.de beruflich verändern oder weiterbilden?
Zum Stellenmarkt
Zur Akademie
Zum Coaching
  • Schnäppchen, Rabatte und Top-Angebote
    Die besten Deals des Tages
    Daily Deals • Bosch Professional zu Bestpreisen • WSV bei MediaMarkt • Asus Vivobook Flip 14" 8GB 512GB SSD 567€ • Philips OLED 65" Ambilight 1.699€ • RX 6900 16GB 1.489€ • Samsung QLED-TVs günstiger • Asus Gaming-Notebook 17“ R9 RTX3060 1.599€ • Seagate 20TB SATA HDD [Werbung]
    •  /